DFN-CERT-2012-1627 Mehrere Schwachstellen in Rubygem Actionpack [Linux][SuSE]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Paket rubygem-actionpack

Betroffene Plattformen:

SUSE Linux Enterprise Software Development Kit 11 SP2

Mehrere Schwachstellen in Actionpack von Rubygems erlauben einem entfernten
Angreifer schlimmstenfalls Zugriff auf vertrauliche Informationen.

Software Upgrade:

Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.

http://download.novell.com/index.jsp

CVE-2012-2695: Schwachstelle in Rubygem ActiveRecord

Im ActiveRecord von Rubygem werden SQL-Anfragen direkt aus
nutzerkontrollierten Parametern erzeugt. Falls es einem entfernten Angreifer
gelingt, die Anfrageparameter direkt an die where-Funktion einer
ActiveRecord-Klasse zu übergeben, ist es ihm möglich, den WHERE-Teil der
abgeleiteten SQL-Anfrage gezielt zu manipulieren um an sensible
Informationen zu gelangen.
Diese Schwachstelle ist eine Variante der unter CVE-2012-2661 beschriebenen,
welche durch den bereitgestellten Sicherheitspatch nicht behoben wurde.

CVE-2012-2694: SQL-Injection Schwachstelle in Rubygem Actionpack

Im Rubygem Actionpack ist eine Schwachstelle vorhanden, da SQL-Anfragen
basierend auf dem Parameter-Hash erzeugt werden, dessen Inhalte allerdings
nicht ausreichend geprüft werden. Diese Schwachstelle erlaubt es einem
Angreifer, Queries so zu manipulieren, dass er über Eingeschleuste ‘IS NULL’
Statements Informationen über die Gültigkeit von Tabellenfeldern erhalten
kann. Diese Information lässt sich unter Umständen für weitergehende
Angriffe ausnutzen.

CVE-2012-2661: Schwachstelle in Rubygem ActiveRecord

CVE-2012-2660: Schwachstellen in Rubygem Actionpack

Im Rubygem Actionpack ist eine Schwachstelle vorhanden, da SQL-Anfragen
basierend auf dem parameter-Hash erzeugt werden, dessen Inhalte allerdings
nicht ausreichend geprüft werden. Einem entfernten Angreifer ist es mittels
präparierter Parameter damit möglich, die Authentifizierung zu umgehen,
wodurch er schlimmstenfalls an sensible Informationen des Dienstes gelangen
kann.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2012-1627/

Das Hersteller Advisory:
http://lists.opensuse.org/opensuse-security-announce

Schwachstelle CVE-2012-2660:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-2660

Schwachstelle CVE-2012-2661:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-2661

Schwachstelle CVE-2012-2694:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-2694

Schwachstelle CVE-2012-2695:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-2695